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(57) Abstract: The invention 
relates to a method of 
certification involving a public 
key certification authority 
(30) and at least one mobile 
terminal (10) which can receive 
messages which are encrypted 
by said public key, characterized 
in that it comprises a stage 
which consists in generating 
the public key in the mobile 
terminal (10), a stage wherein 
a telecommunications network 
entity (20) acquires said key 
from the terminal (10) by means 
of a network communication, 
and a stage wherein the terminal 
(10) is authenticated for the 
network entity by means of 
an authentication process 
of the interlocutor used in 
a conventional telephone 
communication, said method 
comprising a stage wherein 
the public key is supplied to 
the certification authority (30) 
along with the result of the 
identification process. 



O 



30 ... CERTIF. AUTHORITY 



[Suite sur la page suivante] 



WO 2005/079090 Al I II III l« 



(81) Etats designes ( sauf indication contraire, pour tout tit re de 
protection nationale disponible) : AE, AG, AL, AM, AT, 
AU, AZ, BA, BB, BG, BR, BW, BY, BZ, CA, CH, CN, CO, 
CR, CU, CZ, DE, DK, DM, DZ, EC, EE, EG, ES, FI, GB, 
GD, GE, GH, GM, HR, HU, ID, IL, IN, IS, JP, KE, KG, 
KP, KR, KZ, LC, LK, LR, LS, LT, LU, LV, MA, MD, MG, 
MK, MN, MW, MX, MZ, NA, NT, NO, NZ, OM, PG, PH, 
PL, PT, RO, RU, SC, SD, SE, SG, SK, SL, S Y, TJ, TM, TN, 
TR, TT, TZ, UA, UG, US, UZ, VC, VN, YU, ZA, ZM, ZW. 

(84) Etats designes (sauf indication contraire, pour tout titre 
de protection regionale disponible) : ARIPO (BW, GH, 
GM, KE, LS, MW, MZ, NA, SD, SL, SZ, TZ, UG, ZM, 
ZW), eurasien (AM, AZ, BY, KG, KZ, MD, RU, TJ, TM), 
europeen (AT, BE, BG, CH, CY, CZ, DE, DK, EE, ES, FI, 
FR, GB, GR, HU, IE, IS, IT, LT, LU, MC, NL, PL, PT, RO, 



SE, SI, SK, TR), OAPI (BF, BJ, CF, CG, CI, CM, GA, GN, 
GQ, GW, ML, MR, NE, SN, TD, TG). 

Declaration en vertu de la regie 4.17 : 

— relative a la qualite d'inventeur (regie 4.17.iv)) pour US 
seulement 

Publiee : 

— avec rapport de recherche international 

— avant I'expiration du delai prevu pour la modification des 
revendications, sera republiee si des modifications sont re- 
cues 

En ce qui conceme les codes a deux lettres et autres abrevia- 
tions, se referer aux "Notes explicatives relatives aux codes et 
abreviations" figurant au debut de chaque numero ordinaire de 
la Gazette du PCT. 



(57) Abrege : L' invention concerne un procede de certification faisant appel a une autorite de certification (30) de cle publique et 
faisant appel a au moins un terminal mobile (10) apte a recevoir des messages qui soient chiffres par cette cle publique, caracterise en 
ce qu'il comporte l'etape consistant a generer la cle publique au sein du terminal mobile (10) lui-meme, l'etape consistant, pour une 
entite (20) de reseau de telecommunications a acquerir cette cle aupres du terminal (10) par une communication de reseau, et l'etape 
consistant, pour 1' entite de reseau, a authentifier le terminal (10) par un processus d'authentification de 1' interlocuteur utilise dans 
une communication telephonique habituelle, le procede comprenant en outre l'etape consistant a fournir a 1' autorite de certification 
(30) cette cle publique en association avec le resultat de ce processus d' identification. 
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EMISSION DE CLE PUBLIQUE PAR UN TERMINAL MOBILE 

L'invention concerne une infrastructure a cle publique dans un 
reseau de telephonie mobile. 

L'invention concerne egalement les terminaux informatiques mobiles, 
possedant notamment une carte SIM ou WIM. 

De tels terminaux peuvent done etre des telephones mobiles ou des 
telephones WAP. 

lis presentent en commun la caracteristique d'avoir une carte SIM ou 
WIM done d'etre deja identifie sur un reseau en rapport de I'operateur 
auquel le service de telephonie mobile a ete souscrit 

Plus specifiquement, I'invention concerne notamment une 
infrastructure a cle publique dans un reseau mobile. 

Une question universelle et recurrente dans le domaine des reseaux 
est comment assurer la confiance entre interlocuteurs qui ne se 
connaissent pas et a distance. La solution existe, elle consiste a mettre en 
oeuvre une infrastructure a cle publique (ICP ou PKI, Public Key 
Infrastructure). 

Cette infrastructure possede I'avantage d'offrir aux intervenants 
utilisant cette infrastructure de s'appuyer sur une couche de securite elevee 
permettant I'authentification forte, la signature et le chiffrement. En 
revanche, elle presente ('inconvenient de son organisation qui reste 
complexe, longue, difficile a mettre en place et done onereuse pour un 
operateur. 

De nos jours, les interactions entre les differentes entites identifies 
par les certificats et I'autorite de certification sont une part im porta nte de la 
gestion des certificats, e'est a dire des approbations incluant, a titre 
essentiel, une cle publique. Ces interactions incluent des operations telles 
que I'enregistrement pour la certification, le renouvellement de certificat, la 
revocation de certificat, la sauvegarde et le recouvrement des cles. En 
general, une CA (Certification Authority) doit etre capable d'authentifier les 
identites des entites avant de repondre aux demandes. En plus les 
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demandes ont besoin d'etre approuvees par des administrateurs autorises 
ou des gestionnaires avant d'etre mises en service. 

Les moyens utilises par les differentes Autorites de Certification pour 
verifier une identite avant de delivrer un certificat peuvent varier largement. 
Cela depend notamment de I'organisation et de I'usage du certificat. 

Pour se procurer plus de souplesse, les interactions avec les 
utilisateurs peuvent etre separees des autres fonctions de I'Autorite de 
Certification et gerees par un service a part appele autorite 
d'enregistrement (Registration Authority ou RA). 

Une RA agit comme une interface entre la CA en recevant les 
demandes des utilisateurs, les authentifiant, et les transmettant a ia CA. 
Apres reception de la reponse de la CA, la RA notifie a I'utiiisateur le 
resultat. Les RA peuvent etre utiles a I'echelle d'une PKI a travers les 
differents departements, sur des zones geographiques differentes ou toutes 
autres unites dont la politique et les demandes d'authentification varient. 

On peut noter ici les inconvenients de cette infrastructure : elle est 
longue et couteuse a mettre en place, elle possede peu de souplesse dans 
la generation des certificats (lies a la politique de certification), elle a un 
cout important pour I'usager qui desire posseder un certificat, elle necessite 
une gestion importante du cote de I'operateur de certification. 

En d'autres termes, une infrastructure a cle publique offre une 
securite elevee, mais presente inconvenient d'une inscription prealable 
aupres d'une autorite d'enregistrement. 

L'invention vise a rendre plus aise le processus de certification de cle 
publique. 

Ce but est atteint selon l'invention grace a un procede de certification 
faisant appel a une autorite de certification de cle publique et faisant appel 
a au moins un terminal mobile apte a recevoir des messages qui soient 
chiffres par cette cle publique, caracterise en ce qu'il comporte I'etape 
consistant a generer la cle publique au sein du terminal mobile lui-meme, 
I'etape consistant, pour une entite de reseau de telecommunications, a 
acquerir cette cle aupres du terminal par une communication de reseau, et 
I'etape consistant, pour I'entite de reseau, a authentifier le terminal par un 
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processus d'authentification de I'interlocuteur utilise dans une 
communication telephonique habituelle, le procede comprenant en outre 
I'etape consistant a fournir a I'autorite de certification cette cle publique en 
association avec le resultat de ce processus d'identification. 

Un tel procede permet notamment a un abonne a un reseau mobile, 
la generation d'une bi-cle par exemple puis la delivrance d'un certificat par 
Toperateur. 

On propose egalement selon 1'invention un systeme de 
telecommunications mobiles, comprenant au moins un terminal mobile et 
une entite de reseau, caracterise en ce qu'il comporte des moyens pour 
generer une cle publique au sein du terminal mobile lui-merne et des 
moyens au sein de I'entite de reseau de telecommunications pour acquerir 
cette cle publique aupres du terminal par une communication de reseau, 
ainsi que des moyens d'authentification du terminal par un processus 
d'authentification utilise dans une communication telephonique habituelle, 
le systeme comprenant en outre une autorite de certification et des moyens 
pour fournir a I'autorite de certification la cle publique generee par le 
terminal mobile en association avec le resultat de ce processus 
d'authentification. 

On propose en outre un terminal de telecommunication mobile, 
caracterise en ce qu'il inclut des moyens de production d'au moins une cle 
destinee a dechiffrer des messages regus par ce terminal, ainsi que des 
moyens pour emettre cette cle par une communication de reseau via une 
entite de reseau de telephonie, a destination d'une autorite de certification 
de sorte que celle-ci devienne une cle publique. 

D'autres caracteristiques, buts et avantages de 1'invention 
apparartront a la lecture de la description detaillee qui va suivre, faite en 
reference a la figure unique annexee, qui represente une infrastructure de 
certification conforme a une variante preferee de V invention. 

L'idee ici est de generer la bi-cle (cle publique et cle privee) sur le 
mobile de I'utilisateur puis de transmettre la cle publique a une autorite de 
certification par I'intermediaire du reseau de telephonie mobile a I'aide d'un 
canal securise. 
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Cette solution decentralise les demarches et reporte la delivrance de 
la bi-cle dans le mobile. Cette solution allege la phase de 
delivrance/authentification de certificat et a un cout nul pour I'usager. Pour 
I'operateur, ies elements constituant cette infrastructure sont alleges. 

Cette idee permet en outre de deplacer la phase d'enregistrement, 
cette phase etant alors aisement realisee au moment de la souscription 
d'un abonnement au service de telephonie mobile. 

Elle offre Tavantage done de pratiquement s'affranchir de cette 

phase. 

On introduira d'abord les elements specifiques a Padministration 
actuelle des cles et des certificats. L'ensemble des moyens qui permettent 
I'utilisation des cles publiques et des certificats a des formats normalises 
dans un environnement reseau est generalement appele Public Key 
Infrastructure (PKI). 

L'administration d'une PKI est un sujet complexe (gestion des cles, 
des certificats, listes de revocation, recouvrement...). 

Le precede de delivrance des certificats depend de I'autorite de 
certification dont ils sont issus et de leur usage. La delivrance d'un certificat 
doit s'effectuer selon une procedure bien definie et si Ton veut que ce 
certificat ait une valeur, en « face a face » apres, par exemple, examen de 
papiers d'identite. 

Differentes autorites de confiance elaborent differentes politiques de 
delivrance de certificats. 

Dans certains cas, seule Tadresse electronique suffit. 

Dans d'autres cas, le login UNIX ou Windows et un mot de passe 
sera suffisant. 

A I'oppose, pour des certificats disposant de prerogatives 
importantes, le procede de delivrance peut requerir au prealable des 
documents notariaux, ou encore une verification complete de I'identite en 
« face a face ». 

Selon la politique d'organisation, le procede de delivrance des 
certificats peut prendre une forme completement transparente pour 
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I'utilisateur (au detriment de la securite) ou demander la participation 
significative de I'utilisateur et des procedures complexes. 

En general ces precedes de delivrance de certificats doivent etre tres 
souples, ainsi les organisations peuvent les adapter a leur besoin. 

Avant qu'un certificat soit delivre, la cle publique qu'il contient doit 
etre generee en correspondance d'une cle privee qui, elle, est 
confidentielle. 

Quelquefois, il peut etre utile de delivrer un certificat a une personne 
pour des operations de signature et un autre certificat pour une utilisation 
de chiffrement. 

Les cles privees, qu'elles soient de signature ou de chiffrement, sont 
gardees sur un support physique (carte a puces, d'ongle, USB, ...), support 
physique qui est detenu par la personne qu'il represente, pour assurer une 
securite elevee. 

Dans un objectif de recouvrement, la cle privee de chiffrement est 
sequestree sur un serveur central protege ou elle pourra etre retrouvee 
dans le cas ou I'utilisateur perd sa cle par exemple. 

Une cle de chiffrement specifiquement dediee aux communications 
telephoniques est generalement produite soit en local (poste de travail ou 
meme a I'interieur d'une carte a puce) ou de fagon centrale par exemple 
dans un atelier de personnalisation de carte a puce. 

Par exemple, la generation de cles en local assure un service 
maximum de non repudiation, mais implique plus de participation de 
I'utilisateur dans le procede de delivrance. La souplesse de gestion des cles 
est essentielle pour la plupart des organisations sans negliger le cote 
securite. 

Comme une carte d'identite, un certificat est soumis a une periode 
de validite. Toute tentative d'utilisation d'un certificat avant ou apres sa 
periode de validite echouera. 

Done les mecanismes pour I'administration et le renouvellement de 
certificats sont essentiels pour la politique de securite. 

Un administrateur peut vouloir etre averti quand un certificat expire, 
ainsi un procede de renouvellement approprie peut etre mis en place et 
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eviter tout desagrement quant a Tutilisation de certificats qui arrivent a 
expiration. Le precede de renouvellement de certificat peut impliquer la 
reutilisation de la meme paire cle publique/cle privee ou la delivrance d'une 
autre. 

Un certificat peut etre suspendu meme s'il est en cours de validite, 
lors d'un vol par exemple. 

De maniere simiiaire, il est quelquefois necessaire de revoquer un 
certificat avant sa date d'expiration. Par exemple, si un employe quitte son 
entreprise ou se fait voler le support de sa bi-cle. 

La revocation de certificats consiste a publier une liste de revocation 
de certificats (Certificate Revocation List, CRL) dans un annuaire a 
interval les reguliers. La verification de cette liste fait alors partie integrante 
du precede d'authentification. 

On decrira maintenant les elements qui se trouvent habituellement 
mis en oeuvre de maniere a assurer [Identification d'un interlocuteur et la 
securite de la communication concernee, au sein d'un reseau de 
telecommunications, et qui sont, pour certains de ceux ci-apres decrits, mis 
en oeuvre dans le cadre de la presente variante de I'invention. 

L'infrastructure d'un reseau mobile a ete congue de maniere a 
garantir une securite elevee. Le systeme GSM a done recours a des 
precedes d'authentification et de chiffrement. Afin de garantir ce niveau de 
securite elevee, le reseau authentifie le mobile de maniere forte. 

Le systeme GSM utilise quatre types d'adressage lie a I'abonne : 

- TIMSI n'est connu qu'a I'interieur du reseau GSM ; 

- le TMSI correspond a une identite temporaire utilisee pour 
identifier le mobile lors des interactions mobile/reseau ; 

- le MSISDN correspond au numero de telephone de I'abonne, e'est 
le seui identifiant connu de I'exterieur. 

- le MSRN, qui est un numero attribue lors de I'etablissement de 
I'appel. 

Apres avoir rappele les differentes dispositions de type communes 
dans les reseaux de communications telephoniques, nous allons definir 
maintenant quelques acronymes. 



WO 2005/079090 



PCT/FR2005/000328 



7 

L'abreviation SIM (Suscriber Identifiant Module) definit un module 
d'identifiant de I'abonne. 

L'abreviation IMSI (International Mobile Station Identity) qualifie un 
identifiant unique de I'abonne (15 chiffres), stocke dans la carte SIM. 

L'abreviation TMSI (Temporary Mobile Suscriber Identity) qualifie 
une identite propre a un VLR, identite temporaire de I'abonne dans ie VLR. 

L'abreviation MSISDN (Mobile Station International ISDN Number) 
qualifie, elle, une identite de I'abonne qui est visible dans le monde 
telephonique (exp : 33 6 98 76 54 32). 

Le IMEI (International Mobile Equipement Identity) est I'identite du 
terminal. 

Le MSRN (Mobile Station Roaming Number) est I'identite necessaire 
pour acheminer les appels entre le MSG passerelle vers le PSTN et le MSG 
courant du mobile. 

Afin d'eviter toute utilisation d'un compte mobile par une personne 
autre que I'abonne 10, le systeme GSM a recours a un procede 
d'authentification visant a proteger a la fois I'abonne mais aussi I'operateur. 

Un abonne 10 desirant s'authentifier sur le reseau, le reseau via une 
entite de communication 20, transmet alors un nombre aleatoire appele 
RAND au mobile. La carte SIM calcule la signature de RAND a I'aide de 
I'algorithme A3 et la cle privee Ki stockee dans la carte SIM. 

Le resultat obtenu est note SRES, puis envoye au reseau. 

Le reseau (ici I'entite 20), pour s'assurer de I'identite de cet abonne, 
va faire de meme, c'est a dire qu'il calcule une signature de RAND a I'aide 
de A3 et de la cle Ki propre a chaque abonne et stocke sur une base de 
donnees. 

Si le resultat calcule en local est identique a celui receptionne, 
I'abonne est authentifie, dans le cas contraire le mobile est rejete. 

Pour realiser cette confidentialite, on va generer ici une cle de 
chiffrement appelee Kc. Cette cle se construit a I'aide de la donnee 
aleatoire transmise par le reseau et d'une cle privee Ki propre a I'abonne 10 
et stockee dans la carte SIM. 
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Avec ces deux parametres une cle Kc est generee avec I'aide de 
I'algorithme A8. De son cote, le reseau (I'entite 20) realise la meme 
operation. 

La cle Ki correspondant a Tabonne identifie precedemment se trouve 
dans une base AUC (Authentification Center), et le reseau obtient avec 
cette cle Ki la meme cle de chiffrement Kc de son cote. 

L'idee est de definir un modele de PKI allegee avec ici les objectlfs 
suivants, qui sont ceux de diminuer le cout de gestion pour I'operateur, 
c'est a dire eviter une architecture lourde et centralisee et de s'appuyer sur 
la securite de I'architecture de telephonie et en particulier sur 
ridentification/authentification sur laquelle repose le systeme. 

II est a noter que cette solution peut s'adresser a des echanges 
securises comme par exemple dans un environnement de travail afin de 
preserver la confidentiality des echanges ou bien dans le cadre de 
communications en peer-to-peer. 

Comme on I'a vu precedemment, la procedure d'authentification 
possede des elements de securite elevee. Une fois cette phase 
(authentification/confidentialite) terminee, l'idee est de generer dans le 
telephone un bi-cle. 

Par la suite, I'abonne 10 envoie sa cle publique a un operateur de 
certification (ici I'entite 20 elle-meme). Le role d'operateur de certification 
est done au moins tenu partiellement par I'operateur de telephonie mobile 
lui-meme. 

L'authentification sur le reseau GSM est de ce fait une 
authentification forte (possession d'un element de securite et d'un secret). 

Get envoi au serveur de certification 30 est realise dans un tunnel 
securise. 

En cTautres termes, apres reception de la cle publique, I'operateur 20 
peut certifier cette cle receptionnee, car il est certain de Tidentite 
correspondante a la cle publique presentee : non usurpation de Tidentite 
possible sur le reseau GSM. Puis I'operateur 20 renvoie le certificat a son 
proprietaire (cas ou I'entite 20 et confondue avec I'autorite de certification) 
et/ou le depose sur le serveur publique de certification, ici reference 30. 
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Les avantages de cette solution sont enormes, notamment la 
procedure de certification simplifiee, ('absence ici de processus de 
recouvrement, et une gestion decentralisee et reportee sur le client. 

L'idee est done de generer ici la bi-cle au sein du mobile 10 avec ici 
les principes selon iesquels le DN (distinguished name, ou identifiant 
unique) pour chaque possesseur de certificat est son numero de telephone 
et chaque possesseur de certificat genere sa bi-cle et obtient un certificat 
par envoi de sa cle publique pour certification de maniere traditionnelle. Le 
serveur determine automatiquement a I'aide du DN I'origine de I'appel. 

En outre, I'authentification de I'expediteur (I'abonne 10) est realisee 
par le reseau de telephonie (I'entite 20). L'entite de certification 30 qui 
genere le certificat en correspondance avec la cle regue est certaine de 
I'identite certifiee dans le certificat, grace a Paction d'identification realisee 
par I'entite de telephonie 20, et ses moyens d'identification habituels de 
terminal mobile. 

Le serveur 30 peut done enfin generer le certificat correspondant a la 
cle publique regu puis envoyer le certificat a son proprietaire. 

Le procede decrit est mis en oeuvre par un programme d'ordinateur. 

Ce programme d'ordinateur est destine a etre stocke dans / ou 
transmis pas un support de donnees, et comporte des instructions 
logicielles pour faire executer le procede par un dispositif informatique, en 
Tespece, le dispositif de mesure decrit. 
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REVEND1CATIONS 



1. Precede de certification faisant appel a une autorite de 
certification (30) de cle publique et faisant appel a au moins un terminal 
mobile (10) apte a recevoir des messages qui soient chiffres par cette cle 
publique, caracterise en ce qu'il comporte I'etape consistant a generer la cle 
publique au sein du terminal mobile (10) lui-meme, I'etape consistant, pour 
une entite (20) de reseau de telecommunications, a acquerir cette cle 
aupres du terminal (10) par une communication de reseau, et I'etape 
consistant, pour I'entite de reseau, a authentifier le terminal (10) par un 
processus d'authehtification de I'interlocuteur utilise dans une 
communication telephonique habituelle, le procede comprenant en outre 
I'etape consistant a fournir a I'autorite de certification (30) cette cle publique 
en association avec le resultat de ce processus d'authentification. 

2. Procede selon la revendication 1, caracterise en ce que I'etape 
d'authentification du mobile (10) inclut remission par le mobile (10) d'un 
resultat de calcul faisant intervenir une cle confidentielle stockee dans le 
mobile, et I'etape de comparaison, par I'entite de reseau (20), du resultat 
avec un resultat attendu, calcule egalement par I'entite de reseau (20) a 
partir de cette meme cle confidentielle, une comparaison positive etant 
interpretee comme une identification du terminal mobile. 

3. Procede selon la revendication 2, caracterise en ce qu'il comprend 
I'etape consistant, pour I'entite de reseau, a emettre a I'attention du 
terminal, une donnee aleatoire, I'etape de calcul par le terminal faisant 
intervenir egalement cette donnee aleatoire emise par I'entite de reseau, 
I'etape de calcul par I'entite de reseau faisant aussi intervenir cette donnee 
aleatoire en vue de ladite comparaison de resultat. 

4. Procede selon Tune quelconque des revendications precedentes, 
caracterise en ce qu'il met en oeuvre I'etape consistant a generer au sein 
meme du terminal mobile (10), outre la cle publique, une cle confidentielle 
gardee en memoire dans le mobile (10) et adaptee a dechiffrer des 
messages regus et qui ont ete chiffres avec la cle publique. 
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5. Procede selon la revendication 4, caracterise en ce que le terminal 
est prevu pour emettre des messages et y apposer une signature 
d'authentification produite a I'aide de la cle confidentielle generee par lui- 
meme precedemment. 

6. Procede selon Tune quelconque des revendications precedentes, 
caracterise en ce qu'il comprend I'etape consistant, pour I'entite de reseau 
(20), a envoyer la cle publique a I'autorite de certification (30) via un canal 
qui est securise contre des lectures non autorisees. 

7. Procede selon Tune quelconque des revendications precedentes, 
caracterise en ce qu'il comprend I'etape consistant pour le mobile (10) a 
utiliser une cle d'authentification de ce mobile (10) utilisee habituellement 
dans ses communications telephoniques et a generer une cle de 
chiffrement, puis a chiffrer des messages a I'aide de cette cle de 
chiffrement puis a emettre de tels messages. 

8. Systeme de telecommunications mobiles, comprenant au moins 
un terminal mobile (10) et une entite de reseau (20), caracterise en ce qu'il 
comporte des moyens pour generer une cle publique au sein du terminal 
mobile (10) lui-meme et des moyens au sein de I'entite de reseau de 
telecommunications (20) pour acquerir cette cle publique aupres du 
terminal (10) par une communication de reseau, ainsi que des moyens 
d'authentification du terminal par un processus d'authentification utilise 
dans une communication telephonique habituelle, le systeme comprenant 
en outre une auto rite de certification et des moyens pour fournir a I'autorite 
de certification la cle publique generee par le terminal mobile en association 
avec le resultat de ce processus d'authentification. 

9. Terminal de telecommunication mobile (10), caracterise en ce qu'il 
inclut des moyens de production d'au moins une cle destinee a dechiffrer 
des messages regus par ce terminal, ainsi que des moyens pour emettre 
cette cle par une communication de reseau via une entite de reseau de 
telephonie (20), a destination d'une autorite de certification (30) de sorte 
que celle-ci devienne une cle publique. 
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